Als Kunde anmelden

Wo im Admin: Customers › Customers › List › a customer › header button Impersonate (/customers/<id>).

Funktion

Impersonate (Login-as) ermöglicht es einem Support-Administrator, das Portal genau so zu sehen wie ein einzelner Kunde, um ein Problem zu reproduzieren oder bei einer Bestellung zu helfen. Die Sitzung dauert eine Stunde und ist klar von einer normalen Sitzung getrennt: Alles, was dauerhaften Zugriff auf das Konto gewähren könnte, ist blockiert, und jede Nutzung wird protokolliert.

Anforderungen

Komponente	Anforderung
Rolle	Ein in der Admin-Konsole angemeldeter Administrator.
Kunde	Das Konto muss aktiv sein. Ein gesperrtes oder gelöschtes Konto liefert die Antwort „Konto ist nicht aktiv“ (HTTP 409).
Grund	Ein Grund ist obligatorisch; er wird in das Audit-Log geschrieben.
Browser	Erlauben Sie Pop-ups für die Admin-Adresse: Das Portal öffnet sich in einem neuen Fenster.

Schritte

1. Öffnen Sie Customers › List und klicken Sie auf den Kunden.
2. Klicken Sie auf Impersonate. Ein Dialog erklärt, dass die Website des Kunden für eine Stunde als dieser Kunde geöffnet wird und dass jede Aktion protokolliert wird.
3. Geben Sie den Grund ein (zum Beispiel „Ticket 1234 — VM kann nicht erstellt werden“) und klicken Sie auf Open app.
4. Ein neues Fenster öffnet sich auf der Website des Kunden und zeigt das Dashboard mit ?impersonated=1 an. Wenn der Browser das Fenster blockiert hat, erlauben Sie Pop-ups und klicken Sie erneut.

Bei einem Kunden eines Resellers öffnet sich das Fenster auf der eigenen Domain des Resellers, da der Link nur auf der Website des Kunden selbst funktioniert.

Wie es funktioniert

1. Die Admin-Aktion erstellt ein einmalig verwendbares Token, das eine Stunde lang gültig ist, und schreibt customer.login_as (Administrator, IP, Grund, Site) in das Audit-Log.
2. Das neue Fenster öffnet sich https://<site>/v1/portal/impersonate/<token>. Eine erste Anfrage zeigt nur eine kleine Seite und verbraucht das Token nicht (sodass Browser-Prefetching es nicht entwerten kann); die Seite bestätigt dies anschließend mit einem POST.
3. Der POST verbraucht das Token. Eine zweite Verwendung oder eine Verwendung nach einer Stunde liefert die Antwort „The impersonation link has expired or was already used“.
4. NexCMP erstellt eine Kundensitzung mit einer Dauer von einer Stunde (eine normale Sitzung dauert 30 Tage), zeichnet einen Anmeldeeintrag mit der Methode impersonate auf und protokolliert customer.login_as.used.
5. Das Token funktioniert nur auf der eigenen Website des Kunden; auf einem anderen Host antwortet es mit 404.

Was in einer übernommenen Sitzung blockiert ist

Alles, was Zugriff über die Stunde hinaus gewährt oder die Sicherheit des Kunden selbst ändert, gibt HTTP 403 zurück impersonate_forbidden:

Blockiert	Grund
Ändern des Passworts, TOTP, Verknüpfen oder Trennen von Google/GitHub, Bearbeiten von Passkeys	Eigene Anmeldedaten des Kunden
Löschen des Kontos	Irreversibel
Erstellen oder Bearbeiten von API keys	Langlebiger Zugriff
Genehmigen eines CLI-, Desktop- oder MCP-Logins (Geräteverknüpfung)	Langlebiger Zugriff
Erstellen von Kubernetes-Zugriff, S3-Keys, SSH-Keys, Root-Passwörtern, Konsolenfreigabelinks, VPN- oder Proxy-Anmeldedaten	Geheimnisse, die die Sitzung überdauern
Einlösen von Auflade-Codes	Geldaktionen
Ausbezahlen oder Ändern der Auszahlung von Affiliate-Provisionen	Geld verlässt das System
Bearbeiten von KI-Keys, Budgets oder Benachrichtigungs-E-Mails	Kundenkonfiguration

Alles andere funktioniert: Sie können die Seiten lesen, VMs erstellen oder verwalten, Bestellungen aufgeben und so weiter. Aktionen werden mit der Identität des Kunden ausgeführt und geben das Geld des Kunden aus; die obigen Audit-Einträge zeigen, dass ein Administrator hinter der Sitzung stand.

Verifizierung

1. Einen Testkunden übernehmen. Das Portal öffnet sich und zeigt die Daten dieses Kunden an.
2. Versuchen Sie, das Passwort zu ändern: Sie erhalten "forbidden" (Impersonation).
3. Finden Sie in System › Logs › Admin actions den Eintrag customer.login_as mit Ihrem Namen, dem Grund und der Site, gefolgt von customer.login_as.used.
4. Schließen Sie das Fenster und öffnen Sie denselben Link erneut: "link expired or already used".

Limits & Hinweise

• Das Einhundert-Minuten-Limit (3600 Sekunden) ist fest. Um fortzufahren, führen Sie die Übernahme erneut durch.
• Bevorzugen Sie das Lesen und Reproduzieren; vermeiden Sie Aktionen, die Geld kosten, es sei denn, der Kunde hat Sie darum gebeten.
• Widerrufen Sie die Sitzung vorzeitig mit Revoke sessions auf der Kundenseite (dies meldet den Kunden ebenfalls ab).
• Reseller haben ihre eigene Sign in to partner console-Übernahme (60 Minuten) unter Resellers; siehe Resellers.

Fehlerbehebung

Symptom	Ursache	Behebung
"Konto ist nicht aktiv"	Konto gesperrt oder gelöscht	Entsperren Sie es zuerst oder rufen Sie stattdessen die Kundenseite auf.
Browser blockiert das Fenster	Pop-up-Blocker	Erlauben Sie Pop-ups für die Admin-Adresse und versuchen Sie es erneut.
"Link abgelaufen oder bereits verwendet"	Ein-Stunden-Limit oder Wiederverwendung	Erneut übernehmen.
Öffnet "Not found"	Der Link wurde auf dem falschen Host verwendet	Verwenden Sie das Fenster, das der Dialog geöffnet hat; fügen Sie den Link nirgendwo anders ein.
Eine Aktion gibt "forbidden" aus	In übernommenen Sitzungen blockiert	Bitten Sie den Kunden, dies zu tun, oder verwenden Sie die Admin-Masken.